搜索

[8304] 2014-09-27_大话ApplePay（苹果支付）安全

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-09-27_大话ApplePay（苹果支付）安全 大 话 A p p l e   P a y （ 苹 果 支 付 ） 安 全 F r e e B u f   2 0 1 4 - 0 9 - 2 7 作 者   R a b b i t _ R u n 9 月 月 1 0 日 凌 晨 ， 苹 果 发 布 了 最 新 日 凌 晨 ， 苹 果 发 布 了 最 新 i P h o n e 和 其 首 款 可 穿 戴 设 备 和 其 首 款 可 穿 戴 设 备 A p p l e   W a t c h 。 但 很 多 分 析 师 却 认 为 苹 果 新 的 移 动 支 付 服 务 。 但 很 多 分 析 师 却 认 为 苹 果 新 的 移 动 支 付 服 务 A p p l e   P a y 才 是 真 正 的 才 是 真 正 的 “ 游 戏 改 变 者 游 戏 改 变 者 ” 。 。 A p p l e   P a y 能 够 使 用 指 纹 识 别 技 术 能 够 使 用 指 纹 识 别 技 术 T o u c h   I D 安 全 进 入 。 这 项 服 务 能 够 让 用 户 在 苹 安 全 进 入 。 这 项 服 务 能 够 让 用 户 在 苹 果 设 备 中 储 存 其 信 用 卡 账 号 ， 并 通 过 点 击 手 机 或 者 智 能 手 表 完 成 支 付 。 果 设 备 中 储 存 其 信 用 卡 账 号 ， 并 通 过 点 击 手 机 或 者 智 能 手 表 完 成 支 付 。 ​ ​ ​ ​ ​ ​ 苹 果 是 否 真 的 让 黑 客 江 郎 才 尽 了 ？ 苹 果 公 司 正 在 押 宝 。 最 近 苹 果 公 司 推 出 了 一 项 新 型 的 安 全 支 付 方 式 - A p p l e   P a y ， 引 发 了 零 售 业 和 科 技 行 业 的 热 议 。 如 果 苹 果 能 够 正 确 地 实 现 N F C 支 付 系 统 ， 它 “ 绝 对 ” 能 提 高 安 全 性 ， 防 止 灾 难 级 的 信 用 卡 信 息 泄 密 事 件 再 次 独 占 新 闻 头 条 。 在 当 前 泄 密 成 风 的 环 境 （ 哪 个 国 家 不 泄 露 个 几 百 万 信 用 卡 数 据 ， 该 国 黑 客 都 快 抬 不 起 头 了 哪 个 国 家 不 泄 露 个 几 百 万 信 用 卡 数 据 ， 该 国 黑 客 都 快 抬 不 起 头 了 ） 中 ， 安 全 的 运 用 N F C 技 术 有 可 能 让 移 动 支 付 成 为 一 个 “ 游 戏 改 变 者 ” 。 但 是 ， 这 不 是 产 生 的 唯 一 结 果 。 随 着 N F C 支 付 越 来 越 受 欢 迎 ， 它 可 能 推 动 新 的 创 新 ， 激 发 更 多 更 新 颖 的 信 用 卡 支 付 的 技 术 。 苹 果 至 少 是 进 入 N F C 支 付 市 场 排 名 前 三 的 玩 家 ， 而 且 依 照 现 在 的 情 况 来 看 ， 磁 条 信 用 卡 正 逐 渐 的 被 淘 汰 ， 这 也 意 味 着 给 黑 客 带 来 更 多 的 挑 战 。 ​ ​ ​ ​ 历 史 经 验 历 史 经 验 ​ ​ N F C 技 术 已 经 在 移 动 支 付 领 域 流 行 了 一 段 时 间 了 。 在 2 0 1 1 年 9 月 ， 谷 歌 通 过 谷 歌 钱 包 （ G o o g l e   W a l l e t ） 进 正 式 军 移 动 支 付 领 域 。 ​ ​ 不 过 ， 谷 歌 钱 包 的 推 出 和 普 及 却 遭 到 了 移 动 运 营 商 的 打 压 （ 俗 称 “ 坑 杀 ” ， 挖 了 个 坑 给 埋 了 ） ， 导 致 仅 有 少 量 的 手 机 能 够 使 用 谷 歌 钱 包 。 被 打 压 的 理 由 是 安 卓 手 机 使 用 了 一 个 名 为 安 全 单 元 （ S e c u r e   E l e m e n t ） 的 组 件 ， 用 于 N F C 支 付 系 统 在 受 保 护 的 内 存 中 存 储 金 融 数 据 。 由 于 安 全 单 元 的 使 用 ， 移 动 运 用 商 要 求 禁 用 谷 歌 钱 包 的 应 用 程 序 。 打 压 背 后 的 意 图 是 路 人 皆 知 的 ， 即 帮 助 运 营 商 赢 得 时 间 开 发 他 们 自 己 的 支 付 系 统 。 在 2 0 1 0 年 末 ， V e r i z o n 、 T - M o b i l e 和 A T & T 携 手 创 建 了 一 家 名 为 I S I S 钱 包 的 合 资 公 司 ， 目 的 是 来 设 计 N F C 支 付 系 统 （ 该 公 司 近 期 更 名 为 该 公 司 近 期 更 名 为 S o f t C a r d ， 避 免 和 中 东 恐 怖 组 织 ， 避 免 和 中 东 恐 怖 组 织 I S I S 扯 上 关 扯 上 关 系 ） 。 可 是 ， 相 比 于 谷 歌 钱 包 ， I S I S 钱 包 还 是 慢 半 拍 ， 一 直 到 2 0 1 2 年 中 期 也 只 能 提 供 试 运 行 。 在 G o o g l e 、 运 行 商 以 及 I S I S 暗 中 较 劲 时 ， 苹 果 却 另 辟 蹊 径 ， 选 择 使 用 i B e a c o n 技 术 。 i B e a c o n 是 迈 向 基 于 蓝 牙 4 . 0 的 近 端 付 款 的 第 一 步 ， 也 是 苹 果 在 无 线 P O S 产 品 中 的 首 次 试 水 。 然 而 ， 此 项 技 术 作 为 支 付 平 台 并 未 流 行 起 来 。
尽 管 苹 果 和 谷 歌 的 首 次 尝 试 都 遇 到 了 阻 力 ， 但 两 公 司 还 是 坚 定 不 移 地 投 入 到 各 自 产 品 的 改 进 工 作 中 。 谷 歌 的 工 程 师 通 过 基 于 主 机 的 卡 仿 真 技 术 （ H o s t - B a s e d   C a r d   E m u l a t i o n ， 简 称 H C E ） 来 解 决 安 全 元 件 的 问 题 ， 已 在 ​ ​ A n d r o i d 4 . 4 系 统 提 供 支 持 。 苹 果 公 司 放 弃 了 i B e a c o n ， 转 向 N F C 支 付 技 术 ， 即 今 天 的 主 角 A p p l e   P a y 。 ​ ​ ​ ​ F r e e b u f 小 知 识 小 知 识 1 .   【 N F C 】 ： 一 种 近 距 离 无 线 通 讯 技 术 。 它 允 许 两 个 设 备 在 数 英 尺 距 离 内 互 相 传 输 数 据 。 N F C 手 机 能 够 与 其 他 支 持 N F C 技 术 的 设 备 交 换 数 据 ， 也 可 以 读 取 海 报 、 价 钱 或 其 他 产 品 上 的 智 能 标 签 信 息 。 】 2 . 【 i B e a c o n 】 ： 是 苹 果 公 司 开 发 的 一 种 通 过 低 功 耗 蓝 牙 技 术 ， 可 实 现 十 分 精 确 的 微 定 位 技 术 。 i B e a c o n 基 站 可 以 创 建 一 个 信 号 区 域 ， 当 设 备 进 入 该 区 域 时 ， 相 应 的 应 用 程 序 便 会 提 示 用 户 是 否 需 要 接 入 这 个 信 号 网 络 。 3 . 【 安 全 单 元 （ S e c u r e   E l e m e n t ） 】 ： 为 N F C 设 备 上 专 用 的 微 处 理 芯 片 ， 与 手 机 的 主 操 作 系 统 及 硬 件 互 相 独 立 。 只 有 像 谷 歌 钱 包 这 样 的 已 认 证 程 序 才 能 访 问 该 芯 片 ， 并 发 起 交 易 。 该 芯 片 可 以 与 N F C 控 制 器 集 成 在 一 起 。 另 外 也 可 以 集 成 在 N F C 设 备 中 的 其 它 智 能 卡 / 安 全 设 备 中 。 4 .   【 基 于 主 机 的 卡 仿 真 （ H C E ） 】 当 采 用 安 全 元 件 提 供 的 N F C 卡 仿 真 ， 被 仿 真 的 卡 是 通 过 A n d r o i d 应 用 程 序 配 置 到 该 设 备 上 的 S E ， 如 图 1 。 然 后 ， 当 用 户 将 设 备 放 在 一 个 N F C 终 端 上 ， 在 设 备 安 卓 设 备 上 的 N F C 控 制 器 转 发 所 有 数 据 直 接 从 读 卡 器 到 安 全 元 件 。 当 使 用 基 于 主 机 的 卡 仿 真 模 拟 的 N F C 卡 ， 这 些 数 据 被 传 输 到 运 行 在 安 卓 应 用 程 序 上 的 主 机 C P U ， 而 不 是 N F C 协 议 的 帧 传 输 到 安 全 元 件 上 ， 如 图 2 。 图 1   基 于 安 全 元 件 的 卡 仿 真
图 2   基 于 主 机 的 卡 仿 真 ​ ​ 苹 果 支 付 如 何 保 证 安 全 苹 果 支 付 如 何 保 证 安 全 ​ ​ 从 技 术 上 看 ， 后 台 架 构 为 这 次 的 变 革 做 好 了 准 备 。 最 近 几 年 ， 包 括 麦 当 劳 的 几 个 企 业 已 升 级 他 们 的 电 子 销 售 点 （ E P O S ） 系 统 ， 通 过 非 接 触 式 N F C 读 卡 器 来 实 现 快 速 支 付 。 苹 果 支 付 的 工 作 流 程 类 似 于 ： 首 先 启 动 手 机 上 的 支 付 A P P ， 然 后 把 手 机 轻 轻 贴 着 N F C 读 卡 器 来 建 立 N F C 链 接 。 终 端 设 备 安 全 地 连 接 到 支 付 系 统 ， 然 后 选 择 一 个 已 存 储 在 手 机 上 的 信 用 卡 。 实 际 的 信 用 卡 号 码 不 会 存 储 在 手 机 上 ， 而 是 存 储 为 设 备 账 号 号 码 （ D e v i c e   A c c o u n t   N u m b e r ， 简 称 D C E ） 。 在 交 易 过 程 中 ， 该 设 备 账 号 号 码 与 一 个 交 易 安 全 码 相 结 合 ， 然 后 由 i P h o n e 6 上 的 指 纹 扫 描 器 来 授 权 （ 在 i P h o n e 5 需 要 输 入 P I N 密 码 许 可 ） 。 安 全 元 件 的 芯 片 会 验 证 这 次 交 易 ， 并 将 授 权 信 息 转 发 到 N F C 调 制 解 调 器 。 接 下 来 ， 商 家 把 交 易 信 息 转 发 到 为 商 家 提 供 担 保 的 收 单 银 行 。 信 息 再 从 担 保 银 行 发 送 到 支 付 处 理 网 络 。 支 出 处 理 机 构 （ 如 维 萨 - V I S A ，   万 事 达 - M a s t e r c a r d 等 ） 判 定 账 户 信 息 、 使 用 的 信 用 卡 ， 并 确 保 交 易 安 全 码 是 有 效 的 。 因 为 支 付 处 理 机 构 正 在 访 问 设 备 数 据 ， 所 以 苹 果 并 没 有 记 录 什 么 信 用 卡 正 在 被 使 用 ， 或 怎 样 使 用 。 ​ ​ 信 用 卡 已 成 为 众 矢 之 的 信 用 卡 已 成 为 众 矢 之 的 ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 随 着 媒 体 的 深 度 报 道 ， 黑 客 早 就 紧 盯 着 美 国 零 售 商 。 对 此 ， 有 一 个 很 好 的 解 释 ： 那 可 是 信 用 卡 数 据 汇 聚 的 地 方 。 2 0 1 3 年 末 ， 全 美 流 通 着 1 2 亿 张 借 记 卡 、 信 用 卡 以 及 预 付 卡 ， 多 于 其 他 的 区 域 。 其 他 的 发 达 国 家 已 经 迁 移 到 智 能 卡 付 款 系 统 ， 然 而 美 国 还 几 乎 全 部 依 赖 于 磁 条 卡 。 由 于 磁 条 卡 更 易 被 罪 犯 利 用 ， 所 以 磁 条 卡 对 黑 客 更 有 价 值 。 在 2 0 1 2 年 ， 黑 客 造 成 全 球 支 付 卡 损 失 了 1 1 3 亿 美 元 （ 包 括 零 售 商 和 发 卡 行 ） ， 而 美 国 贡 献 了 4 7 % 。 ​ ​ ​ ​ ​ ​
​ ​ 苹 果 支 付 的 安 全 评 估 苹 果 支 付 的 安 全 评 估 ​ ​ 按 道 理 来 说 ， N F C 支 付 应 该 更 安 全 。 不 同 于 传 统 的 信 用 卡 ， N F C 支 付 针 对 每 次 购 买 都 会 产 生 一 串 新 的 数 字 ， 而 不 是 发 送 用 户 的 信 用 卡 信 息 。 安 全 元 件 使 黑 客 难 以 利 用 盗 取 的 数 字 串 用 于 任 何 其 他 的 目 的 。 在 传 统 模 型 中 ， 商 家 必 须 要 接 收 信 用 卡 信 息 ， 即 使 是 已 加 密 过 。 商 家 必 须 承 担 保 存 和 处 理 信 用 卡 号 的 责 任 。 然 而 ， N F C 系 统 让 使 用 现 有 的 黑 客 技 术 难 以 截 获 信 用 卡 信 息 。 因 为 交 易 过 程 不 需 要 刷 卡 ， 分 离 器 没 有 机 会 来 获 取 磁 性 信 用 卡 数 据 。 此 外 ， 这 也 缓 解 了 来 自 内 存 抓 取 （ m e m o r y - s c r a p i n g ） 恶 意 软 件 的 威 胁 ， 例 如 B l a c k P O S   或   D e x t e r 。 可 能 在 未 来 的 某 个 时 刻 ， 一 个 小 型 天 线 放 置 在 N F C 读 卡 器 旁 边 ， 也 许 能 够 捕 获 N F C 读 卡 器 和 手 机 之 间 的 通 信 。 但 是 ， 因 为 黑 客 只 能 捕 获 结 合 了 交 易 码 的 设 备 账 户 号 码 ， 把 窃 听 的 通 信 再 次 用 于 恶 意 目 的 几 乎 不 可 能 。 这 个 过 程 也 可 以 阻 止 黑 客 从 商 家 寻 找 信 用 卡 ， 因 为 他 们 仅 使 用 基 于 N F C 支 付 系 统 来 处 理 设 备 账 户 号 码 和 安 全 交 易 信 息 ， 而 不 是 信 用 卡 号 。 即 使 黑 客 能 够 访 问 零 售 商 的 网 络 ， 交 易 信 息 具 有 仅 使 用 一 次 的 特 性 ， 这 让 黑 客 的 计 划 落 空 了 。 目 前 ， 尚 不 清 楚 零 售 商 是 否 会 存 储 这 类 信 息 。 当 然 ， 我 们 预 料 到 终 有 一 天 黑 客 们 会 像 传 统 基 于 磁 条 的 卡 片 中 的 数 据 使 用 基 于 N F C 支 付 系 统 中 的 数 据 。 F r e e b u f 科 普 科 普 1 . 【 A T M 分 类 器 （ A T M S k i m m e r s ） 】 直 译 过 来 为   A T M   分 离 器 ， 是 一 种 依 附 在 正 常 自 动 提 款 机 上 的 硬 件 设 备 ， 通 常 覆 盖 在 键 盘 、 银 行 卡 插 槽 上 ， 伪 装 成 正 常 的 键 盘 和 银 行 卡 插 槽 ， 并 且 与 原 设 备 严 丝 合 缝 ， 基 本 上 普 通 用 户 很 难 区 别 出 来 假 的 键 盘 、 银 行 卡 插 槽 ， 用 来 窃 取 用 户 输 入 的 密 码 以 及 银 行 卡 数 据 的 一 种 电 子 硬 件 设 备 。 未 来 方 向 未 来 方 向 ​ ​ 展 望 未 来 ， 移 动 支 付 安 全 会 依 赖 于 三 个 组 件 ： 用 户 身 份 认 证 、 移 动 应 用 程 序 的 验 证 、 第 三 方 支 付 执 行 机 构 （ t h i r d   p a y m e n t p r o c e s s o r ） 。 第 一 个 是 身 份 认 证 。 苹 果 支 付 使 用 生 物 特 征 用 于 身 份 认 证 。 然 而 ， i P h o n e 5 S 仅 发 布 两 天 后 ， 黑 客 就 成 功 了 绕 过 了 i P h o n e 5 S 的 指 纹 识 别 系 统 T o u c h   I D ， 由 此 表 明 这 仍 是 一 项 新 型 的 技 术 。 数 据 的 汇 聚 是 关 键 ， 也 是 这 种 新 型 金 融 形 式 所 带 来 的 主 要 风 险 。 当 我 们 着 眼 于 个 人 组 件 、 漏 洞 ， 以 及 他 们 带 来 的 风 险 ， 我 们 必 须 将 这 个 过 程 视 为 一 个 整 体 。 第 二 点 ， 我 们 必 须 考 虑 第 三 方 A P P 和 恶 意 程 序 是 如 何 影 响 A p p l e   P a y 。 当 苹 果 还 没 有 向 第 三 方 A P P 开 发 接 口 时 ， 我 们 早 已 在 几 乎 每 个 移 动 环 境 观 察 到 了 恶 意 程 序 。 在 这 种 情 况 下 ， 信 用 卡 号 在 录 入 到 移 动 终 端 时 可 能 存 在 被 盗 取 的 风 险 。 信 用 卡 信 息 通 过 对 信 用 卡 拍 照 或 手 动 输 入 等 方 式 录 入 到 P a s s b o o k 中 。 这 是 数 据 最 脆 弱 的 时 候 ， 因 为 恶 意 程 序 可 能 尝 试 截 获 信 用 卡 的 照
片 或 手 动 输 入 的 信 用 卡 信 息 。 最 后 ， 支 付 的 基 础 设 施 服 务 。 考 虑 到 要 通 过 这 些 服 务 处 理 大 量 的 资 金 ， 因 此 这 些 服 务 通 常 拥 有 比 较 强 的 安 全 性 。 随 着 P O S 系 统 逐 渐 转 向 了 N F C 支 付 ， 商 家 网 络 中 基 于 磁 条 的 卡 凭 证 数 据 会 越 来 越 少 。 黑 客 们 当 然 不 会 轻 易 放 弃 自 己 的 事 业 ， 而 是 把 精 力 投 放 到 下 一 个 最 薄 弱 点 。 ​ ​ ​ ​ 最 后 的 思 考 最 后 的 思 考 消 费 欺 诈 是 一 个 巨 大 的 市 场 。 我 们 必 须 想 到 那 些 实 施 网 上 欺 诈 的 家 伙 们 一 定 会 挖 空 心 思 寻 找 这 个 新 技 术 的 空 隙 来 维 持 他 们 的 收 入 来 源 。 随 着 智 能 设 备 上 的 购 物 和 银 行 服 务 不 断 普 及 ， 你 可 以 清 楚 预 见 到 未 来 犯 罪 所 关 注 的 焦 点 ， 即 能 否 在 衍 化 的 新 环 境 中 重 现 传 统 的 欺 诈 手 段 或 挖 掘 出 新 的 漏 洞 或 机 会 。 此 刻 ， 尽 管 看 起 来 苹 果 支 付 和 其 他 N F C 移 动 支 付 系 统 提 供 了 增 强 的 安 全 性 ， 防 止 传 统 零 售 业 的 信 用 卡 泄 露 事 件 发 生 。 由 于 移 动 支 付 能 够 为 人 们 提 供 极 大 的 便 利 和 效 率 ， 随 着 消 费 者 不 断 增 加 对 虚 拟 的 钱 包 、 支 付 以 及 账 户 的 依 赖 ， 信 用 卡 很 有 可 能 将 会 不 断 演 进 。 随 着 消 费 行 为 的 转 变 ， 我 们 预 料 到 罪 犯 也 会 紧 跟 趋 势 ， 不 断 创 新 ， 否 则 就 被 市 场 淘 汰 了 。 （ 想 起 一 则 笑 话 ， 大 致 内 容 说 电 视 剧 中 大 反 派 一 般 都 是 励 志 型 的 ， 不 言 气 馁 ， 不 怕 挫 折 ， 不 断 创 新 ， 不 管 被 主 角 怎 么 K O ， 还 是 能 够 再 勇 敢 的 站 起 来 。 而 主 角 都 是 整 天 懒 懒 散 散 的 ， 无 所 事 事 ， 静 候 着 大 反 派 ， 然 后 凭 借 着 主 角 光 环 一 次 次 取 得 胜 利 ） [ 参 考 信 息 来 源 参 考 信 息 来 源   F i r e E y e ， 内 容 有 所 删 减 ， 尽 量 保 留 了 原 文 本 意 。 译 自 ， 内 容 有 所 删 减 ， 尽 量 保 留 了 原 文 本 意 。 译 自 R a b b i t _ R u n ， 喜 欢 文 章 请 点 赞 鼓 励 。 转 载 请 注 ， 喜 欢 文 章 请 点 赞 鼓 励 。 转 载 请 注 明 来 自 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理